优化

gateway-overseas/AGENTS.md

@@ -16,6 +16,7 @@
 | 安全配置项 | `config/GatewaySecurityProperties.java` |
 | 可信身份头传递 | `filter/TrustedIdentityHeaderFilter.java` |
 | 环境配置 | `src/main/resources/application.yml`、`../config/nacos/` |
+| 海外 PDA 路由 | 设备端 `../../apps/pda-overseas-uniapp/`，服务端入口 `/api/pda/v1/last-leg/**`；必须在 Gateway 路由中显式声明并保持海外 Token/权限校验，不得让设备直连 Lastleg |
 | 测试 | `src/test/java/com/baiyue/gateway/config/` |
 
 ## 安全规则
@@ -23,6 +24,7 @@
 - 生产令牌 `aud` 必须包含 `lastleg-api`，并包含配置要求的身份声明。
 - 网关必须清除外部请求伪造的可信身份头，仅传递验签后生成的身份信息。
 - JWKS 地址、Issuer 和 Audience 必须外部配置；不得在源码写死生产密钥。
+- merchant、platform 与 PDA 路径分别显式维护路由和授权边界；新增 PDA Controller 不会自动成为公网路由，Gateway 未声明前不得把设备链路标记为已联通。
 
 ## 修改与验证